常见的一个误区，是把入侵网站看成技术上的小动作，觉得没删数据、没拿钱就不算事。这一条罪名惩罚的重点恰恰是入侵动作本身，进去了就可能被立案。我处理这类咨询时，先把系统属性问清楚，再谈别的。
说白了，看的是目标系统属于哪一类。侵入国家事务、国防建设以及尖端科学技术领域的系统，行为完成就可能被追究；侵入普通商业网站，通常要按非法获取计算机信息系统数据那条线判断，标准完全不同，这一点我在办案时反复确认过。
《刑法》第二百八十五条第一款规定，违反国家规定，侵入国家事务、国防建设以及尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。条文里没有数额要求，也没有要求造成实际后果。
没有后果也可能构罪。
徐律师看下来，这一条的适用边界其实很窄，关键在于涉案系统是不是属于这三类领域，而不在于入侵手法有多复杂，手法再普通，系统属性对了同样构罪。
政府政务系统、党政机关的内部办公系统以及涉及国防科研的服务器，落在这一类的可能性大。普通商业网站、企业自建办公系统，一般不属于国家事务领域，判断不清的时候，办案机关看系统的建设主体和实际用途。
上海浦东新区办理的涉网案件里，网安部门会出具一份系统属性说明，这份说明往往直接决定罪名走向。上海法院审理这类案件时，会把系统属性作为第一个查明事项，上海市公安局网安部门出具的说明是主要依据。我核对这类材料时，会重点看说明的出具时间、绘制依据以及有没有附系统日志，这几项缺哪一项，说明的分量都会打折。属性说明定走向。
《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》把侵入解释为未经授权或者超越授权获取数据、实施非法控制。用别人给的账号密码进系统，之后超出授权范围翻看、下载，同样算侵入。
扫描、试探、反复尝试登录却始终被挡在门外的，一般不按既遂处理。越权与未授权，在法律上的评价是两回事，差别正是在这里。这一点要说清。徐律师在这类案件里会先确认授权范围划到哪里，因为越权操作和未经授权在法律上的评价并不一样，前者容易被忽略，实际同样有风险。授权范围先看清。
下载数据、更改功能或者植入程序，这些后续动作会分别落到第二百八十五条第二款、第二百八十六条这些条文上，刑期明显更高。一个行为同时触犯几条罪名的，按照处罚较重的规定定罪处罚。
我代理过的邓某某侵犯公民个人信息案同属涉网络数据的案件，人取保之后案件撤销。这类案子能不能站住，靠的是电子数据的取证链条是否完整。入侵的时间、IP的归属、操作者身份的关联，都要靠日志和时间戳一层层对上，缺一环指控就会变弱。徐海燕律师看这类案卷时，会先核对登录日志、IP归属以及硬盘镜像的制作时间，缺一环都可能影响整个链条的可信度。取证流程不能乱。缺一环就麻烦。涉案数据的提取、镜像的制作以及哈希值的校验，在案卷里通常散落在几份说明中，家属看不懂是正常的，律师要做的是把它们串起来看顺序对不对。说句实在话，辩护的空间往往就藏在取证的细节里，而不是藏在当事人怎么解释动机上。
问：只是进去看了看，没下载也没改动，也算犯罪吗？
答：侵入行为完成即可构成，法律没有把造成后果作为前提。是否追究还要看系统属性、进入深度和主观目的，情节轻微的可能作不起诉处理。
问：入侵几台服务器会被立案？
答：这一条不以台数计算，一台也可能立案。以数量、数额作为门槛的是非法获取计算机信息系统数据罪，两套标准不能混用。
问：公司派我做的渗透测试，会不会被抓？
答：有书面授权、测试范围明确的不构成犯罪。授权文件要写清目标系统、时间区间以及操作边界，超出授权范围的那部分操作仍可能被单独评价。
问：被采取了强制措施，家属现在该做什么？
答：先确认是哪一条罪名，再让律师会见了解涉案系统的属性和操作细节。这两项决定后续是在罪轻方向争取，还是从系统属性上作无罪辩护。
问：这类案子通常判多久？
答：本条罪名只有三年以下有期徒刑或者拘役一个量刑档。若同时构成非法获取计算机信息系统数据罪，情节特别严重的可以到七年。
家属如需评估案件情况、了解取保候审或辩护方案，建议携带相关材料向专业律师当面咨询。
免责声明：本文内容为法律知识普及与实务参考，不构成正式法律意见。每个案件情况不同，具体问题请咨询专业律师。
作者简介：徐海燕律师，上海德禾翰通律师事务所合伙人、专职律师、律所刑辩研究院成员，执业证号：13101202311663264。执业聚焦刑事辩护、企业合规风控、重大疑难案件代理，长期深耕上海本地刑事业务，熟悉上海公检法办案流程、裁判思路及司法裁量标准，主打刑事案件精细化辩护。服务范围包含刑事案件全流程代理，包括看守所会见、取保候审申请、阅卷、出庭辩护、不起诉辩护、二审改判；企业刑事合规建设与风险防控；刑事案件家属应急咨询与行动指导。
